easy_sast

쉬운 sast

Easy_Sast는 통합 파이프 라인에 사용하기위한 Docker 컨테이너로, 애플리케이션의 빌드 아티팩트를 정적 분석 도구에 제출합니다. 이는 유사한 기능을 용이하게하기위한 다른 컨테이너의 빌드 패턴 역할을하는 방식으로 개발되었으며 Veracode의 정적 분석 제품과 기본적으로 통합됩니다.

• 특징
• QuickStart
• 용법
• 기여

Easy_Sast는 docker pull seiso/easy_sast 실행하여 Docker Hub에서 사용할 수 있습니다.

고급 사용 및 자세한 정보는 Wiki를 참조하십시오.

특징

이 코드 기반은 견고한 선언문 과 일치하여 개발되었습니다. 따라서 : 그것은 다음과 같습니다.

• 사용하기 간단 : 직관적으로 DevOps를 이해하는 워크 플로우 옵션 및 구성.
• 쉽게 구성 가능 : 실제 기본값 및 구성 파일, 환경 변수 및/또는 CLI 인수와 같은 수많은 구성 옵션.
• 명확하고 이해하기 쉬운 코드 : 유형 힌트, 키워드 인수 및 정규화 된 코드 스타일의 정기적 인 사용은 코드 의도를 쉽게 이해할 수 있도록합니다.
• 강력하게 엔지니어링 : 오류 처리, 자동화 된 보안 유효성 검증 및 광범위한 검증.
• 100% 테스트 : 모든 커밋에서 단위 테스트에 대한 100% 코드 적용 범위.
• 100% 지속적으로 포맷 : Docker, Make, Yaml 및 Python의 모든 커밋.

QuickStart

전제 조건

이 프로젝트를 구축하고 실행하려면 Docker 18.09 또는 새로, 찾기, Git, GNU Make 및 Python 3을 사용하는 것이 좋습니다.

설정

통합 요구 사항

Veracode와 통합하려면 다음을 수행해야합니다.

• 응용 프로그램의 디버그 빌드를 생성 할 수 있습니다.

• Veracode의 SAST 제품 API를 사용할 수있는 유효한 계정과 라이센스가 있습니다.

• Veracode의 분석 센터에 사용하려는 응용 프로그램이 있습니다.

• Veracode 자격 증명을 환경 변수로 내 보냅니다.

   export VERACODE_API_KEY_ID=EXAMPLE
   export VERACODE_API_KEY_SECRET=EXAMPLE
  

시작하기

1. Docker 이미지 구축 :

   make build

2. Docker 컨테이너를 실행하고 API 자격 증명을 전달하고 빌드 아티팩트가 포함 된 디렉토리를 /빌드에 장착하십시오.

   docker run --env-file <( env | grep ^VERACODE_API_KEY_ ) -v " /path/to/build " :/build seiso/easy_sast:latest

추가 세부 사항 및 구성 옵션은 사용법 및 위키에 요약되어 있습니다.

용법

명령 줄

usage: main.py [-h] [--config-file CONFIG_FILE] [--version]
               [--debug | --verbose]

optional arguments:
  -h, --help                          show this help message and exit
  --config-file CONFIG_FILE           specify a config file
  --version                           show program ' s version number and exit
  --debug                             enable debug level logging
  --verbose                           enable info level logging

런타임에 easy_sast에 정보를 전달하는 두 가지 권장 방법이 있습니다.

1. --env-file 사용하여 환경 변수를 docker run 에 전달합니다. 예를 들어:

   docker run --env-file <( env | grep VERACODE_API_KEY_ ) -v " /path/to/build " :/build seiso/easy_sast:latest

2. docker run 에 대한 논증을 추가하여 컨테이너의 파이썬에 인수를 전달할 수도 있습니다. 예를 들어:

   docker run -e VERACODE_API_KEY_ID=EXAMPLE -e VERACODE_API_KEY_SECRET=EXAMPLE seiso/easy_sast:latest --debug

풀 요청에 대한 SAST 최적화와 같은 고급 사용량에 대해 배우고 싶으십니까? 위키를 확인하십시오.

지원되는 Veracode API

• API 업로드
• 결과 API

Veracode 사용자는 최소한 업로드 API 및 getApplist.do endpoint에 액세스 할 수있는 권한이 있어야합니다.

해당 API와 상호 작용하기 위해 더 많은 Veracode API 또는 워크 플로우를 지원하려면 문제를 열고 알려주십시오!

기여

1. 저장소를 포크하십시오
2. git checkout -b feature/description 통해 기능 분기를 만듭니다
3. 변경하십시오
4. git commit -am 'Summarize the changes here'
5. 새 풀 요청 생성 (방법)